Questão de Segurança da Informação, Segurança de Datacenter, Segurança de Dispositivos, Disponibilidade · FGV SEFAZ-AM 2022 - Prova I (nº 58)

Conceito-chave: Ameaça é qualquer evento ou agente que pode explorar uma falha (vulnerabilidade) para causar um dano (impacto). Vulnerabilidade é uma fraqueza do sistema, e impacto é a consequência do dano materializado. A chave é não confundir o agente causador com a fraqueza em si.

• (A) Correta: A afirmativa I está correta porque o vazamento de dados sensíveis é um impacto (consequência) que atinge diretamente a reputação e a confiança na empresa, um dano intangível mas gravíssimo.
• (B) Incorreta: A afirmativa II está errada porque ameaças (como hackers, malware ou desastres naturais) não podem ser eliminadas, apenas mitigadas ou reduzidas por controles; o que se elimina ou reduz é a vulnerabilidade.
• (C) Incorreta: A afirmativa III está errada porque a espionagem industrial é uma ameaça (um agente ou ação externa), e não uma vulnerabilidade (que seria, por exemplo, a falta de proteção de segredos industriais).
• (D) Incorreta: A letra D está errada porque, embora a afirmativa I seja verdadeira, a II é falsa pelo motivo explicado acima (ameaça não se elimina, se mitiga).
• (E) Incorreta: A letra E está errada porque, embora a afirmativa I seja verdadeira, a III é falsa, pois confunde o conceito de ameaça (espionagem) com vulnerabilidade (falha que permite a espionagem).

Armadilha da banca na alternativa E (a mais tentadora): O examinador troca os termos de propósito. Ele escreve "espionagem industrial é uma vulnerabilidade" para ver se você percebe que isso é uma ameaça (um agente externo que age contra você), não uma fraqueza. A vulnerabilidade seria, por exemplo, "ausência de política de classificação da informação". Quem não domina a diferença entre ameaça e vulnerabilidade cai na pegadinha e marca a E.